O malware DanaBot está de volta. Apenas seis meses após a operação policial internacional "Operation Endgame" ter desmantelado a sua infraestrutura em maio, uma nova variante foi detetada. O alerta foi dado pelos investigadores de segurança da Zscaler ThreatLabz, que identificaram a versão 669 do DanaBot já em atividade.
O que traz de novo a versão 669
Esta nova versão apresenta uma infraestrutura de comando e controlo (C2) atualizada, que agora utiliza domínios Tor (.onion) e nós "backconnect" para dificultar a sua deteção e desmantelamento. A Zscaler também identificou vários endereços de criptomoedas (BTC, ETH, LTC e TRX) que os atacantes estão a usar para receber os fundos roubados.
O DanaBot evoluiu significativamente desde as suas origens. Inicialmente conhecido como um trojan bancário baseado em Delphi, descoberto pela Proofpoint, evoluiu para um modular ladrão de informação, focado em credenciais e dados de carteiras de criptomoedas armazenados nos navegadores web.
A resiliência do cibercrime
O DanaBot operava num modelo de Malware-as-a-Service (MaaS), sendo alugado a cibercriminosos mediante subscrição. Embora a "Operation Endgame" tenha degradado significativamente as suas operações, o regresso do DanaBot demonstra a resiliência dos atacantes.
Segundo os analistas, enquanto houver incentivo financeiro e os principais operadores não forem detidos, estas ameaças tendem a regressar. Durante o período em que o DanaBot esteve inativo, muitos "Initial Access Brokers" (IABs) simplesmente migraram para outras famílias de malware, aguardando o regresso da ferramenta.
Como se proteger
Os métodos de infeção habituais do DanaBot incluem e-mails maliciosos (através de ligações ou anexos), envenenamento de SEO (SEO poisoning) e campanhas de publicidade maliciosa, que em alguns casos levaram à instalação de ransomware. A Zscaler recomenda que as organizações atualizem as suas ferramentas de segurança e adicionem os novos indicadores de compromisso (IoCs) às suas listas de bloqueio para se defenderem contra esta nova vaga de ataques.
Nenhum comentário
Seja o primeiro!